尧图网站建设 
如何将Agent Vault部署到VPS远程运行Hermes/OpenClaw安全代理完全指南【免费下载链接】agent-vaultA HTTP credential proxy and vault for AI agents like Claude Code, OpenClaw, Hermes, custom agents harnesses, and more.项目地址: https://gitcode.com/gh_mirrors/ag/agent-vaultAgent Vault 是一款面向 AI 智能体的开源凭据代理credential proxy与密钥保险库。本文带你把它部署到 VPS 上远程运行 Hermes 或 OpenClaw 智能体让真实 API 密钥只存放在代理服务器里智能体主机只保存占位符从架构上杜绝凭据泄露风险。为什么要把 Agent Vault 部署到 VPS传统的密钥管理是把凭据交给应用本身但 AI 智能体可能被提示注入prompt injection诱导泄露密钥。Agent Vault 的做法是智能体永远拿不到真实密钥。真实凭据如ANTHROPIC_API_KEY、GITHUB_TOKEN加密存放在 Agent Vault 服务器中智能体发出的是占位符如__anthropic_api_key__请求经HTTPS_PROXY路由到 Agent VaultAgent Vault 拦截请求、替换真实凭据后再转发给目标 API智能体自始至终只见过占位符字符串把 Agent Vault 部署在一台独立 VPS 上还能保证智能体无法通过共享主机直接读取密钥——这是官方 最佳实践 明确推荐的部署方式。整体架构两台 VPS 各司其职推荐拓扑很简单也是官方指南 docs/guides/hermes-on-vps.mdx 和 docs/guides/openclaw-on-vps.mdx 的标准方案角色服务器运行内容持有内容凭据代理av-brokerAgent Vault 服务端真实凭据加密存储智能体主机hermes-vps/openclaw-boxHermes 或 OpenClaw仅占位符 可吊销的 agent token两台服务器放在同一云厂商的私有网络VPC中Agent Vault 的两个监听端口14321管理 API、14322MITM 代理只绑定私有网卡公网完全不可达管理界面通过 SSH 隧道访问。第一步准备两台 VPS以 HetznerHermes 指南或 DigitalOceanOpenClaw 指南为例约 15 分钟在云控制台创建一个私有网络如av-net网段10.0.0.0/24创建第一台服务器av-brokerUbuntu 24.04、最便宜的 x86 小规格即可Agent Vault 资源占用很低分配私有 IP10.0.0.2创建第二台服务器hermes-vps同区域、同私有网络分配私有 IP10.0.0.3创建防火墙只允许你自己的公网 IP 访问 22 端口并应用到两台服务器验证私有网络连通性在av-broker上ping 10.0.0.3有响应即成功第二步一键安装 Agent Vault 到 VPSSSH 登录av-broker执行官方安装脚本支持 Linux x86_64/ARM64自动校验签名curl --proto https --proto-redir https --tlsv1.2 -fsSL https://get.agent-vault.dev | sh接着安装tmux防止 SSH 断开导致服务中断然后在 tmux 会话里启动服务tmux new -s av agent-vault server --host 10.0.0.2 --port 14321 --mitm-port 14322--host 10.0.0.2让两个监听器绑定私有网卡。首次启动会提示设置主密码master password、管理员邮箱和密码——主密码用于包裹数据加密密钥务必记牢。用curl -sI http://10.0.0.2:14321/health看到200 OK即部署成功。 更喜欢容器Docker 部署同样简单docker run -p 14321:14321 -p 14322:14322 -e AGENT_VAULT_MASTER_PASSWORD... -v agent-vault-data:/data infisical/agent-vault详见 docs/self-hosting/docker.mdx。生产环境可切换 PostgreSQL 多实例共享状态。第三步在 Web 管理界面配置保险库在你本地电脑上开一个 SSH 隧道即可通过浏览器管理 VPS 上的 Agent Vaultssh -L 14321:10.0.0.2:14321 rootav-broker公网IP -N然后打开http://localhost:14321用管理员账号登录创建三样东西1️⃣ 创建 vault隔离边界Vaults → New vault命名为prod。2️⃣ 添加 credentials真实密钥在prod的 Credentials 页填入你要代理的凭据它们落盘时是加密的。3️⃣ 添加 services转发规则每条规则绑定一个上游域名并配置占位符替换规则例如api.anthropic.com请求头中的__anthropic_api_key__替换为凭据ANTHROPIC_API_KEY的真实值。第四步部署 Hermes 并接入 Agent VaultSSH 到hermes-vps先安装 Agent Vault CLI这台机器只装客户端不跑服务端再按官方脚本安装 Hermes 并完成初始化向导关键动作是在~/.hermes/.env写入占位符与第三步的替换规则一一对应例如ANTHROPIC_API_KEY__anthropic_api_key__ GITHUB_TOKEN__github_token__然后回到 Web 界面All Agents → Add agent为hermes-vps创建 agent 并授予prod保险库的proxy权限界面会生成三行环境变量地址、token、保险库名供你复制在hermes-vps上export这三个变量后用agent-vault run -- hermes gateway setup走一遍网关向导把 Hermes 的消息网关安装为 systemd 服务注意把AGENT_VAULT_TOKEN写进服务的 env 文件。启动后所有出站 API 调用都会经由10.0.0.2:14322由 Agent Vault 注入真实凭据完整的逐屏操作含 Telegram 机器人接入可参考 docs/guides/hermes-on-vps.mdx。备选在 VPS 上部署 OpenClaw如果你用 OpenClaw Slack 的组合流程几乎一致官方指南是 docs/guides/openclaw-on-vps.mdx在openclaw-box上运行 OpenClaw 安装向导所有 token 提示处都填占位符如__slack_bot_token__在 Web 界面为openclaw-box创建 agent 并授权prod保险库把占位符环境变量写入/etc/openclaw/agent-vault.env并用 systemd drop-in 把网关启动命令包一层agent-vault run服务规则上两种认证模式都支持Bearer 模式直接改写Authorization头Passthrough 模式按占位符做字符串替换例如 Anthropic 的规则验证效果与应急吊销部署完成后直接给你的机器人发一条消息如总结某个仓库最近 5 次提交并发到 Slack 频道。在 Agent Vault 的Logs页可以看到每个请求匹配的服务和被替换的凭据名——凭据列显示为空说明占位符没对上检查替换规则即可。最大的安全感来自一键吊销在界面里对 agent 执行 Rotate 或 Delete下一次出站请求立刻返回 401智能体主机上的占位符字符串就此变成废纸想恢复只需把新 token 写回 env 文件并重启服务。进阶安全加固 ️出口封禁egress lockdown给智能体主机加一条只允许访问私有网段的出站防火墙规则。被攻破的 Hermes/OpenClaw 将没有任何泄露通道管理界面走隧道14321 端口保持私有本地用 SSH 隧道访问如需公网管理可参考 examples/nginx-public-ui-proxy/ 里的 Nginx 反代 TLS 示例轮换主密码agent-vault master-password change会重新包裹数据加密密钥更多细节见 docs/learn/security.mdx 与环境变量参考 docs/self-hosting/environment-variables.mdx小结用约 1 小时和每月约 10 欧元/美元的两台小 VPS你就获得了一个架构级的凭据防线真实密钥加密集中在av-brokerHermes/OpenClaw 智能体只持有可随时吊销的 token出站流量全部经 Agent Vault 注入凭据并可审计。后续想扩展到 Claude Code、Codex 等其他智能体同样的模式即可复用参考 docs/guides/ 下的连接指南。【免费下载链接】agent-vaultA HTTP credential proxy and vault for AI agents like Claude Code, OpenClaw, Hermes, custom agents harnesses, and more.项目地址: https://gitcode.com/gh_mirrors/ag/agent-vault创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 如何将Agent Vault部署到VPS：远程运行Hermes/OpenClaw安全代理完全指南
如何将Agent Vault部署到VPS远程运行Hermes/OpenClaw安全代理完全指南【免费下载链接】agent-vaultA HTTP credential proxy and vault for AI agents like Claude Code, OpenClaw, Hermes, custom agents harnesses, and more.项目地址: https://gitcode.com/gh_mirrors/ag/agent-vaultAgent Vault 是一款面向 AI 智能体的开源凭据代理credential proxy与密钥保险库。本文带你把它部署到 VPS 上远程运行 Hermes 或 OpenClaw 智能体让真实 API 密钥只存放在代理服务器里智能体主机只保存占位符从架构上杜绝凭据泄露风险。为什么要把 Agent Vault 部署到 VPS传统的密钥管理是把凭据交给应用本身但 AI 智能体可能被提示注入prompt injection诱导泄露密钥。Agent Vault 的做法是智能体永远拿不到真实密钥。真实凭据如ANTHROPIC_API_KEY、GITHUB_TOKEN加密存放在 Agent Vault 服务器中智能体发出的是占位符如__anthropic_api_key__请求经HTTPS_PROXY路由到 Agent VaultAgent Vault 拦截请求、替换真实凭据后再转发给目标 API智能体自始至终只见过占位符字符串把 Agent Vault 部署在一台独立 VPS 上还能保证智能体无法通过共享主机直接读取密钥——这是官方 最佳实践 明确推荐的部署方式。整体架构两台 VPS 各司其职推荐拓扑很简单也是官方指南 docs/guides/hermes-on-vps.mdx 和 docs/guides/openclaw-on-vps.mdx 的标准方案角色服务器运行内容持有内容凭据代理av-brokerAgent Vault 服务端真实凭据加密存储智能体主机hermes-vps/openclaw-boxHermes 或 OpenClaw仅占位符 可吊销的 agent token两台服务器放在同一云厂商的私有网络VPC中Agent Vault 的两个监听端口14321管理 API、14322MITM 代理只绑定私有网卡公网完全不可达管理界面通过 SSH 隧道访问。第一步准备两台 VPS以 HetznerHermes 指南或 DigitalOceanOpenClaw 指南为例约 15 分钟在云控制台创建一个私有网络如av-net网段10.0.0.0/24创建第一台服务器av-brokerUbuntu 24.04、最便宜的 x86 小规格即可Agent Vault 资源占用很低分配私有 IP10.0.0.2创建第二台服务器hermes-vps同区域、同私有网络分配私有 IP10.0.0.3创建防火墙只允许你自己的公网 IP 访问 22 端口并应用到两台服务器验证私有网络连通性在av-broker上ping 10.0.0.3有响应即成功第二步一键安装 Agent Vault 到 VPSSSH 登录av-broker执行官方安装脚本支持 Linux x86_64/ARM64自动校验签名curl --proto https --proto-redir https --tlsv1.2 -fsSL https://get.agent-vault.dev | sh接着安装tmux防止 SSH 断开导致服务中断然后在 tmux 会话里启动服务tmux new -s av agent-vault server --host 10.0.0.2 --port 14321 --mitm-port 14322--host 10.0.0.2让两个监听器绑定私有网卡。首次启动会提示设置主密码master password、管理员邮箱和密码——主密码用于包裹数据加密密钥务必记牢。用curl -sI http://10.0.0.2:14321/health看到200 OK即部署成功。 更喜欢容器Docker 部署同样简单docker run -p 14321:14321 -p 14322:14322 -e AGENT_VAULT_MASTER_PASSWORD... -v agent-vault-data:/data infisical/agent-vault详见 docs/self-hosting/docker.mdx。生产环境可切换 PostgreSQL 多实例共享状态。第三步在 Web 管理界面配置保险库在你本地电脑上开一个 SSH 隧道即可通过浏览器管理 VPS 上的 Agent Vaultssh -L 14321:10.0.0.2:14321 rootav-broker公网IP -N然后打开http://localhost:14321用管理员账号登录创建三样东西1️⃣ 创建 vault隔离边界Vaults → New vault命名为prod。2️⃣ 添加 credentials真实密钥在prod的 Credentials 页填入你要代理的凭据它们落盘时是加密的。3️⃣ 添加 services转发规则每条规则绑定一个上游域名并配置占位符替换规则例如api.anthropic.com请求头中的__anthropic_api_key__替换为凭据ANTHROPIC_API_KEY的真实值。第四步部署 Hermes 并接入 Agent VaultSSH 到hermes-vps先安装 Agent Vault CLI这台机器只装客户端不跑服务端再按官方脚本安装 Hermes 并完成初始化向导关键动作是在~/.hermes/.env写入占位符与第三步的替换规则一一对应例如ANTHROPIC_API_KEY__anthropic_api_key__ GITHUB_TOKEN__github_token__然后回到 Web 界面All Agents → Add agent为hermes-vps创建 agent 并授予prod保险库的proxy权限界面会生成三行环境变量地址、token、保险库名供你复制在hermes-vps上export这三个变量后用agent-vault run -- hermes gateway setup走一遍网关向导把 Hermes 的消息网关安装为 systemd 服务注意把AGENT_VAULT_TOKEN写进服务的 env 文件。启动后所有出站 API 调用都会经由10.0.0.2:14322由 Agent Vault 注入真实凭据完整的逐屏操作含 Telegram 机器人接入可参考 docs/guides/hermes-on-vps.mdx。备选在 VPS 上部署 OpenClaw如果你用 OpenClaw Slack 的组合流程几乎一致官方指南是 docs/guides/openclaw-on-vps.mdx在openclaw-box上运行 OpenClaw 安装向导所有 token 提示处都填占位符如__slack_bot_token__在 Web 界面为openclaw-box创建 agent 并授权prod保险库把占位符环境变量写入/etc/openclaw/agent-vault.env并用 systemd drop-in 把网关启动命令包一层agent-vault run服务规则上两种认证模式都支持Bearer 模式直接改写Authorization头Passthrough 模式按占位符做字符串替换例如 Anthropic 的规则验证效果与应急吊销部署完成后直接给你的机器人发一条消息如总结某个仓库最近 5 次提交并发到 Slack 频道。在 Agent Vault 的Logs页可以看到每个请求匹配的服务和被替换的凭据名——凭据列显示为空说明占位符没对上检查替换规则即可。最大的安全感来自一键吊销在界面里对 agent 执行 Rotate 或 Delete下一次出站请求立刻返回 401智能体主机上的占位符字符串就此变成废纸想恢复只需把新 token 写回 env 文件并重启服务。进阶安全加固 ️出口封禁egress lockdown给智能体主机加一条只允许访问私有网段的出站防火墙规则。被攻破的 Hermes/OpenClaw 将没有任何泄露通道管理界面走隧道14321 端口保持私有本地用 SSH 隧道访问如需公网管理可参考 examples/nginx-public-ui-proxy/ 里的 Nginx 反代 TLS 示例轮换主密码agent-vault master-password change会重新包裹数据加密密钥更多细节见 docs/learn/security.mdx 与环境变量参考 docs/self-hosting/environment-variables.mdx小结用约 1 小时和每月约 10 欧元/美元的两台小 VPS你就获得了一个架构级的凭据防线真实密钥加密集中在av-brokerHermes/OpenClaw 智能体只持有可随时吊销的 token出站流量全部经 Agent Vault 注入凭据并可审计。后续想扩展到 Claude Code、Codex 等其他智能体同样的模式即可复用参考 docs/guides/ 下的连接指南。【免费下载链接】agent-vaultA HTTP credential proxy and vault for AI agents like Claude Code, OpenClaw, Hermes, custom agents harnesses, and more.项目地址: https://gitcode.com/gh_mirrors/ag/agent-vault创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考